Validación de PAC
El ticket Kerberos demuestra quién eres; el PAC que lleva dentro afirma qué puedes hacer. La validación es la comprobación de que esa segunda parte viene realmente del controlador de dominio.
El Privilege Attribute Certificate es la extensión de Microsoft dentro del ticket, y contiene los identificadores del usuario y sus grupos. Es esa estructura, y no el ticket en sí, la que determina la autorización, lo que la convierte en el objetivo interesante: si se puede alterar, uno se convierte en administrador sin tocar jamás un grupo. El PAC va firmado tanto con la clave del servicio como con la del controlador de dominio, y validar significa que el servicio le pregunta a un controlador de dominio si esa segunda firma es correcta. Durante años fue opcional y solía desactivarse por motivos de rendimiento, que es precisamente por lo que funcionan los Silver Ticket. Los parches de 2021 y los nuevos requisitos de firma de finales de 2022 fueron el intento de Microsoft de cerrar ese hueco, con un despliegue tristemente accidentado.